Meeste werknemers herkennen nagemaakte Word-installatiepagina niet als nep

Het gaat om handelingen als het beantwoorden van een bericht van een bekende collega (66 procent), het openen van een e-mail (61 procent) en het inloggen op een vertrouwde website (59 procent). Ruim 64 procent geeft aan een digitaal verzoek sneller te vertrouwen als het van een bekende afzender komt. Bijna 40 procent vindt het steeds lastiger om echt van nep te onderscheiden.

Volgens gedragswetenschapper Florien Cramwinckel zit daar een fundamenteel probleem voor traditionele security awareness. “We zijn gewend om gevaar te zoeken in wat afwijkt. Maar bij handelingen die we iedere dag uitvoeren, gaan we juist op de automatische piloot. Als criminelen die routine overtuigend weten na te bootsen, verdwijnt precies het signaal waarop mensen hebben geleerd alert te zijn.”

Nagemaakte installatiepagina niet herkend

Hoe groot het risico is, bleek uit een test met een nagemaakte installatiepagina van Microsoft Word. Van de ondervraagden dacht 43,7 procent dat de pagina echt was en twijfelde 17,3 procent. Daarmee herkende ruim zes op de tien de pagina niet als nep. Zulke vertrouwde omgevingen worden volgens HP gebruikt om malware te verspreiden.

Uit de nieuwste HP Threat Insights komen twee voorbeelden van aanvallen die op dit gedrag inspelen. In één campagne leidde een pdf-bestand slachtoffers via een QR-code naar een ogenschijnlijk gewone verificatiestap op hun mobiele telefoon. In een andere aanval was schadelijke software vermomd als een professioneel ontwikkelde AI-tool. In beide gevallen ging het om handelingen die werknemers vaak uitvoeren, zoals bijlagen lezen, op de telefoon inloggen of software downloaden, en niet om een duidelijk verdachte link.

Vertragen op het juiste moment

Gedragswetenschapper Florien Cramwinckel ziet hierin een probleem voor de gangbare opleiding in digitale veiligheid. Mensen zijn gewend gevaar te zoeken in wat afwijkt, maar bij dagelijkse handelingen gaan ze juist op de automatische piloot. Als criminelen die routine overtuigend nabootsen, verdwijnt het signaal waarop werknemers hebben geleerd alert te zijn. Medewerkers leren om elke mail of website te wantrouwen is volgens haar geen oplossing, omdat dat onwerkbaar is en voorbijgaat aan het nut van routines. Het gaat erom te herkennen wanneer het verstandig is de automatische piloot kort te onderbreken. Daarvoor bedacht ze de geheugensteun DIS ME NIET, die verwijst naar vijf handelingen waarbij een korte extra controle het verschil kan maken: downloaden, inloggen, scannen, van apparaat wisselen en het inschakelen van extra rechten of functies.

Ook een alerte werknemer kan een overtuigende aanval missen. HP vindt daarom dat digitale beveiliging niet alleen moet draaien om het voorkomen van menselijke fouten, maar ook om het beperken van de gevolgen ervan. Bij een vermoedelijk phishingincident geeft 86 procent van de werknemers uit zichzelf aan dit te melden. Andere maatregelen worden nauwelijks genoemd: slechts 2 procent zegt de netwerkverbinding te verbreken of het eigen account of de eigen sessie te beveiligen. De vraag verschuift daarmee van hoe te voorkomen is dat een werknemer ooit nog verkeerd klikt, naar hoe te voorkomen is dat een fout automatisch uitgroeit tot een incident voor het hele bedrijf.

Cramwinckel: “Als een aanval expliciet wordt ontworpen rond menselijke gewoontes, kun je de verantwoordelijkheid niet volledig bij de medewerker leggen. Dan moet je ook naar het systeem eromheen kijken en zorgen dat de consequenties van een fout zo klein mogelijk blijven.”